hydrasoft/cve-2026-41089-netlogon-rceТехнический анализ и Proof-of-Concept (PoC) для CVE-2026-41089, критической уязвимости удаленного выполнения кода (RCE) без аутентификации в службе Windows Netlogon, затрагивающей контроллеры домена.
Неаутентифицированное удалённое выполнение кода на контроллерах домена Active Directory
Я публикую этот технический разбор CVE-2026-41089 — исключительно критической уязвимости, скрытой глубоко в службе Windows Netlogon. Мой анализ показывает, что в основе дефекта лежит серьёзное переполнение буфера в стеке (CWE-121). Отправляя специально сформированные некорректные запросы на уязвимый контроллер домена по сети, неаутентифицированный атакующий может вызвать повреждение памяти и беспрепятственно выполнить произвольный код на уровне системы.
«Тот, кто управляет Netlogon, управляет королевством».
Поскольку эта уязвимость требует нулевого взаимодействия с пользователем и не требует предварительной аутентификации, она представляет собой кошмарный сценарий для корпоративных сред. Она служит прямым и беспрепятственным путём к полной компрометации Active Directory, что делает её первоочередной целью для Advanced Persistent Threats (APT) и синдикатов программ-вымогателей.
| Техническое поле | Присвоенное значение | Примечания |
|---|---|---|
| Идентификатор CVE | CVE-2026-41089 | Официально отслеживаемый zero-day |
| Оценка серьёзности | Критическая (CVSS v3.1: 9.8) | ████████████████████ 100% |
| Тип уязвимости | CWE-121 | Переполнение буфера в стеке |
| Затронутый компонент | Windows Netlogon | Конвейер аутентификации Active Directory |
| Вектор атаки | Сеть | Полностью удалённое выполнение |
| Требуемые привилегии | Отсутствуют | Неаутентифицированное RCE |
Я разработал диагностический скрипт на Python для проверки ваших контроллеров домена на подверженность этому переполнению без сбоя процесса LSASS.
# 1. Connectivity & Baseline test (short username, prevents overflow) python3 CVE-2026-41089.py 10.0.50.21 corp.local2. Default overflow vulnerability check (length 130)
python3 CVE-2026-41089.py 10.0.50.21 corp.local -l 130
3. Aggressive payload test with high timeout for latent networks
python3 CVE-2026-41089.py 10.0.50.21 corp.local -l 200 -t 10
Если злоумышленник закрепится в любой точке вашей внутренней сети, путь атаки окажется опасно коротким:
graph TD
A[Unauthenticated Attacker] -->|Network Access| B[Locate Domain Controller]
B -->|Send Crafted Netlogon Packet| C[Trigger Stack Buffer Overflow]
C -->|Memory Corruption in LSASS| D[Arbitrary Code Execution]
D --> E[Full Domain Controller Takeover]
E --> F[Complete Active Directory Compromise]Чтобы выявить попытки эксплуатации в вашей среде, я рекомендую активно отслеживать следующие индикаторы компрометации (IoCs):
[!] Unexpected Netlogon service crashes or spontaneous restarts
[!] Abnormal process spawning directly from lsass.exe
[!] Massive spikes in malformed Netlogon requests
[!] Unrecognized authentication anomalies in Windows Event Logs
[!] Suspicious RPC traffic directed at Domain ControllersПримите немедленные меры для защиты вашей инфраструктуры. Я рекомендую следующий контрольный список:
lsass.exe применяются агрессивные политики мониторинга.Данный анализ уязвимости и связанный с ним PoC-код предоставляются исключительно для авторизованных оборонительных исследований и системного администрирования.
Эксплуатация CVE-2026-41089 в системах или сетях без явного письменного разрешения строго незаконна. Автор не несёт никакой ответственности за любое неправомерное использование этой информации. Развёртывание программ-вымогателей, несанкционированное боковое перемещение и манипуляции с Active Directory влекут за собой серьёзные правовые последствия. Всегда устанавливайте исправления заблаговременно и ответственно тестируйте в изолированных лабораторных средах.